Pendant vingt ans, le marquage CE d’un produit radio a répondu à trois questions : est-ce que l’appareil est sûr électriquement, est-ce qu’il ne perturbe pas ses voisins, est-ce qu’il utilise correctement le spectre. La cybersécurité n’en faisait pas partie.
Depuis le 1er août 2025, ce n’est plus vrai. Un thermostat connecté, un capteur industriel, une borne de recharge ou un jouet communicant doivent désormais démontrer un niveau de sécurité numérique avant d’être mis sur le marché européen. Pour un fabricant suisse qui exporte, c’est une nouvelle condition d’accès au marché, pas une bonne pratique facultative.
Cet article explique ce que ces exigences recouvrent, comment savoir si votre produit est concerné, et pourquoi il ne faut surtout pas les confondre avec le Cyber Resilience Act.
D’où vient cette obligation ?
La directive RED, formellement la directive 2014/53/UE, encadre la mise sur le marché des équipements radioélectriques dans l’Union européenne. Son article 3(3) contient une liste d’exigences essentielles supplémentaires qui restent dormantes tant que la Commission ne les active pas.
C’est exactement ce qui s’est produit. Le règlement délégué (UE) 2022/30, adopté le 29 octobre 2021, a activé trois de ces exigences, les points d, e et f. Son application était prévue au 1er août 2024, puis a été reportée d’un an par le règlement délégué (UE) 2023/2444, le temps que les normes harmonisées soient prêtes. La date qui compte aujourd’hui est donc le 1er août 2025.
Ces trois exigences se résument ainsi :
- point d : l’équipement ne doit pas nuire au réseau ni dégrader son fonctionnement de manière inacceptable ;
- point e : l’équipement doit comporter des garanties protégeant les données personnelles et la vie privée des utilisateurs ;
- point f : l’équipement doit intégrer des fonctions de protection contre la fraude.
Un même produit peut être concerné par une seule de ces exigences, par deux, ou par les trois. C’est le premier travail d’analyse à mener, et il conditionne tout le reste.
Suis-je concerné ? La question du périmètre
La directive définit un équipement radio comme un produit électrique ou électronique qui émet et/ou reçoit intentionnellement des ondes radioélectriques à des fins de radiocommunication ou de radiodétermination. En pratique, dès qu’il y a du WiFi, du Bluetooth, du LoRa, de la 4G ou du NB-IoT dans votre produit, vous êtes un fabricant d’équipements radio, même si vous ne vous êtes jamais perçu comme tel.
Le règlement délégué vise ensuite trois familles de produits, qui correspondent aux trois points activés.
Sont concernés par le point d les équipements radio capables de communiquer directement ou indirectement via internet : un thermostat connecté, une caméra de surveillance, une passerelle LoRaWAN, une borne de recharge pilotée à distance, un automate industriel remontant ses mesures vers le cloud.
Sont concernés par le point e les équipements de garde d’enfants, les jouets radioélectriques, les équipements portables au contact du corps, et plus largement les équipements connectés qui traitent des données à caractère personnel ou de localisation. Un babyphone, une montre connectée, un jouet interactif, un capteur de présence dans un bâtiment.
Sont concernés par le point f les équipements connectés qui permettent des transferts de valeur monétaire : un terminal de paiement communicant, une borne de recharge avec paiement intégré, un distributeur automatique connecté.
La directive RED s'applique au produit mis sur le marché de l'Union, pas au domicile du fabricant. Un fabricant vaudois ou fribourgeois qui vend en Allemagne, en France ou en Italie porte exactement les mêmes obligations qu'un fabricant allemand. Si vous exportez, vous êtes concerné. Attention également au rôle que jouent vos distributeurs et importateurs européens : la responsabilité de la conformité du produit reste la vôtre.
Le règlement prévoit aussi des exclusions. Son article 2 écarte de son champ les équipements radio déjà régis par les règlements sur les dispositifs médicaux (UE) 2017/745 et (UE) 2017/746, par la réglementation de l’aviation civile (UE) 2018/1139, par la réception par type des véhicules à moteur (UE) 2019/2144 et par les systèmes de télépéage (UE) 2019/520. Un dispositif médical communicant n’échappe donc pas à la cybersécurité, mais il la traite dans son propre cadre sectoriel.
Les trois normes EN 18031 : à quoi servent-elles ?
Une exigence essentielle est écrite en termes généraux. Elle dit le résultat attendu, pas la manière de l’atteindre. C’est le rôle des normes harmonisées de combler cet écart.
Trois normes ont été développées, et leurs références ont été publiées au Journal officiel de l’Union européenne par la décision d’exécution (UE) 2025/138 du 28 janvier 2025. Chacune répond à l’une des trois exigences.
| Norme | Exigence couverte | Type de produits visés | Objectif général |
|---|---|---|---|
| EN 18031-1 | Article 3(3)(d) | Équipements radio connectés à internet | Éviter que l’appareil nuise au réseau ou serve de relais à une attaque |
| EN 18031-2 | Article 3(3)(e) | Équipements traitant des données personnelles, jouets, équipements de garde d’enfants | Protéger les données personnelles et la vie privée des utilisateurs |
| EN 18031-3 | Article 3(3)(f) | Équipements permettant des transferts de valeur monétaire | Empêcher la fraude et la manipulation des transactions |
Ces normes sont des documents payants, vendus par les organismes de normalisation. Leur contenu ne peut pas être reproduit ici, et il n’y a de toute façon aucun intérêt à en survoler les clauses. Ce qui compte pour un dirigeant, c’est leur logique.
Cette logique est celle d’une analyse de risque appliquée au produit. Vous identifiez ce qu’il faut protéger dans votre appareil : les identifiants, les clés cryptographiques, les données des utilisateurs, les interfaces réseau, les mécanismes de mise à jour. Vous établissez ensuite quelles menaces pèsent sur chacun de ces éléments, et vous montrez quels mécanismes de votre produit y répondent. Chaque exigence de la norme se traite ainsi : soit vous démontrez qu’un mécanisme adéquat existe, soit vous justifiez précisément pourquoi il n’est pas applicable à votre produit.
C’est un exercice de documentation autant que de technique. La plupart des échecs constatés ne viennent pas d’un produit peu sûr, mais d’un dossier incapable de démontrer ce que le produit fait déjà.
Les références des trois normes ont été publiées avec des restrictions. Elles portent notamment sur les situations où l'utilisateur peut se dispenser de définir un mot de passe, et sur le contrôle d'accès parental pour certains équipements. Concrètement : si aucune restriction ne vous concerne, vous pouvez déclarer la conformité vous-même par contrôle interne de la production. Si une restriction vous concerne, un organisme notifié doit intervenir, avec le délai et le coût correspondants. Vérifiez ce point avant de figer votre planning de lancement.
Ne pas confondre avec le Cyber Resilience Act
C’est la confusion la plus fréquente, et elle coûte cher parce qu’elle conduit à attendre.
Le règlement (UE) 2024/2847, dit Cyber Resilience Act, est un texte distinct de la directive RED. Il ne l’amende pas et ne s’y substitue pas aujourd’hui. Il couvre un périmètre bien plus large, tous les produits comportant des éléments numériques, qu’ils soient radio ou non, matériels ou logiciels. Ses obligations et ses échéances lui sont propres.
Trois différences à retenir :
- Le champ. La RED vise les équipements radio. Le Cyber Resilience Act vise l’ensemble des produits comportant des éléments numériques.
- Le calendrier. Les exigences de la RED sont applicables depuis le 1er août 2025. Celles du Cyber Resilience Act montent en puissance selon leur propre échéancier.
- L’objet. La RED porte sur la conformité du produit au moment de sa mise sur le marché. Le Cyber Resilience Act insiste davantage sur le cycle de vie, la gestion des vulnérabilités et le signalement.
La conclusion pratique est simple : traitez la RED maintenant, puisqu’elle conditionne votre marquage CE actuel, mais construisez votre documentation en sachant qu’elle vous resservira. L’analyse de risque produit, l’inventaire des composants logiciels et le processus de mise à jour sécurisée servent les deux textes. Nous consacrerons un article distinct au Cyber Resilience Act.
Par où commencer, concrètement
Si vous partez de zéro sur un produit existant, cet ordre donne le meilleur résultat.
- Qualifiez votre produit. Est-ce un équipement radio au sens de la directive ? Lequel ou lesquels des points d, e et f vous concernent ? Cette seule réponse détermine tout le reste.
- Vérifiez les exclusions. Votre produit relève-t-il d’un des règlements sectoriels écartés par l’article 2 du règlement délégué ?
- Dressez l’inventaire de ce qu’il faut protéger. Identifiants, clés, données utilisateurs, interfaces de communication, ports de débogage, mécanisme de mise à jour.
- Menez l’analyse de risque produit. Quelles menaces, quels scénarios d’attaque réalistes, quelles mesures existantes dans votre conception.
- Traitez les écarts. Un mot de passe par défaut identique sur toute une série, une interface de débogage restée ouverte, des mises à jour non signées sont les trois écarts les plus courants et les plus faciles à corriger tôt.
- Décidez de la voie d’évaluation. Contrôle interne ou organisme notifié, en fonction des restrictions applicables.
- Constituez le dossier technique. C’est lui qu’une autorité de surveillance du marché demandera, parfois des années après le lancement.
Un dernier point de méthode. La sécurité de votre produit dépend aussi de vos fournisseurs de composants et de modules logiciels. Une bibliothèque tierce vulnérable dans votre firmware est votre problème, pas celui de son auteur. Le sujet rejoint celui des attaques par la chaîne d’approvisionnement, et il vaut la peine d’exiger de vos fournisseurs les informations qui vous manquent.
Si votre produit remonte des données vers vos serveurs, vos obligations ne s’arrêtent d’ailleurs pas au marquage CE : le traitement de ces données relève aussi de vos obligations nLPD en Suisse. Pour les environnements industriels, la norme IEC 62443 fournit un cadre complémentaire.
Cet article résume l'état des textes au 18 juillet 2026 à l'intention des dirigeants et responsables produit. La qualification exacte d'un équipement, l'applicabilité des exclusions et le choix de la procédure d'évaluation dépendent des caractéristiques précises de votre appareil. Faites valider votre analyse avant de figer votre déclaration UE de conformité.
Le climat général ne pousse pas à la temporisation. L’Office fédéral de la cybersécurité a reçu 64 733 déclarations volontaires en 2025, contre 62 954 en 2024. Les objets connectés mal sécurisés alimentent une part de ces incidents, et la réglementation européenne ne fait que traduire ce constat en condition d’accès au marché.
Pour situer votre entreprise sur ses fondamentaux de sécurité, le check-up cyber vous donne un score et vos trois priorités en quelques minutes. Les autres textes applicables aux entreprises suisses sont regroupés dans le pilier Réglementations.